Comunicado de Segurança da Microsoft (2728973)

Qual é o escopo do comunicado? 
O propósito deste comunicado é notificar aos clientes que a Microsoft está ciente das autoridades de certificado da Microsoft estão fora de nossas práticas recomendadas de armazenamento seguro. Em uma revisão de rotina e tomando bastante cuidado, nós colocamos estes certificados no Armazenamento de certificados não confiáveis e os substituímos por autoridades novas de certificado que atendem ao nosso alto padrão de gerenciamento de infraestrutura de chave pública (PKI). Não estamos cientes de qualquer uso incorreto das autoridades de certificado, mas tomamos ações de prevenção para proteger os clientes. Este problema afeta todas as versões suportadas do Microsoft Windows.

A Microsoft lançou uma atualização para todas as versões com suporte do Microsoft Windows para ajudar a solucionar este problema.

Esta atualização aborda outros certificados digitais não autorizados? 
Sim, além de abordar os vinte e oito certificados não autorizados descritos neste comunicado, esta atualização é cumulativa e aborda certificados digitais não autorizados descritos em comunicados anteriores: Comunicado de Segurança da Microsoft 2524375, Comunicado de Segurança da Microsoft 2607712, Comunicado de Segurança da Microsoft 2641690 e Comunicado de Segurança da Microsoft 2718704.

Observe que, embora esta atualização aborde certificados descritos em comunicados anteriores, ela não contém todas as funcionalidades introduzidas em comunicados anteriores. Para obter mais informações, consulte os problemas conhecidos no Artigo 2728973 (em inglês) da Microsoft Knowledge Base.

O Windows 8 Release Preview ou o Windows Server 2012 Release Candidate é afetado por alguma das vulnerabilidades abordadas neste comunicado? 
Sim. A atualização está disponível para o Windows 8 Release Preview e o Windows Server 2012 Release Candidate. Recomendamos que os clientes do Windows 8 Release Preview e Windows Server 2012 Release Candidate apliquem essas atualizações em seus sistemas. Para informação sobre como aplicar a atualização no Windows 8 Release Preview e no Windows Server 2012 Release Preview, consulte a seção Ações sugeridas deste comunicado.

O que é criptografia?
A criptografia é a ciência de proteger informações convertendo-as entre seu estado legível normal (chamado texto sem formatação) e outro em que os dados são ocultados (conhecido como texto codificado ou cifrado).

Em todas as formas de criptografia, um valor conhecido como uma chave é usado junto com um procedimento chamado de algoritmo criptografado para transformar dados de texto sem formatação em texto codificado. No tipo de criptografia mais familiar, criptografia de chave secreta, o texto codificado é revertido a texto sem formatação usando a mesma chave. No entanto, em um segundo tipo de criptografia, criptografia de chave pública, uma chave diferente é usada para reverter o texto codificado a texto sem formatação.

O que é um certificado digital?
Na criptografia de chave pública, uma das chaves, conhecida como chave privada, deve ser mantida em segredo. A outra chave, conhecida como chave pública, deve ser compartilhada com todos. No entanto, deve haver uma forme de o proprietário da chave contar a todos a quem a chave pertence. Os certificados digitais fornecem uma maneira de fazer isso. Um certificado digital é um pedaço inviolável de dados que empacota uma chave pública junto com a informação sobre eles - quem a mantém, para que pode ser usada, quando expira, etc.

Para que são usados os certificados?
Os certificados são usados principalmente para verificar a identidade de uma pessoa ou dispositivo, autenticar um serviço ou criptografar arquivos. Normalmente você não terá que pensar sobre certificados. Talvez você veja uma mensagem informando que determinado certificado está expirado ou é inválido. Nesses casos, você deve seguir as instruções da mensagem.

O que é uma autoridade de certificação (CA)?
As autoridades de certificação são as organizações que publicam certificados. Elas estabelecem e verificam a autenticidade das chaves públicas que pertencem às pessoas ou a outras autoridades de certificação, e elas verificam a identidade de uma pessoa ou organização que solicita um certificado.

O que é uma Lista de certificados confiáveis (CTL)?
Deve haver confiança entre o destinatário de uma mensagem assinada e o signatário da mensagem. Um método de estabelecer essa confiança é por meio de um certificado, um documento eletrônico que verifica se entidades ou pessoas são quem eles alegam ser. Um certificado é publicado para uma entidade por terceiros que são confiáveis pelas outras partes. Assim sendo, cada destinatário de uma mensagem assinada decide se o emissor do certificado do signatário é confiável. CryptoAPI implementou uma metodologia para permitir que desenvolvedores de aplicativos criem aplicativos que verificam automaticamente certificados em uma lista predefinida de certificados confiáveis ou raízes. Essa lista de entidades confiáveis (chamada assuntos) é chamada lista de certificados confiáveis (CTL). Para obter mais informações, consulte o artigo do MSDN, Verificação de Confiança de Certificado.

O que causou o problema?
A Microsoft está ciente das autoridades de certificado da Microsoft que estão fora de nossas práticas recomendadas de armazenamento seguro. Não estamos cientes de qualquer uso incorreto das autoridades de certificado, mas tomamos ações de prevenção para proteger os clientes.

Para que um invasor pode usar a vulnerabilidade? 
Um invasor pode usar esses certificados para falsificar conteúdo, executar ataques de phishing ou executar ataques a intermediários.

O que é um ataque de intermediário?
Um ataque de intermediário ocorre quando um invasor desvia a comunicação entre dois usuários pelo computador do invasor, sem o conhecimento dos dois usuários que se comunicam. Cada usuário na comunicação, sem saber, envia e recebe tráfego do invasor, achando que está se comunicando somente com o usuário pretendido.

O que a Microsoft está fazendo para ajudar a resolver este problema?
Nós colocamos as autoridades de certificação da Microsoft no Armazenamento de certificados não confiáveis e as substituímos por autoridades novas de certificado que atendem ao nosso alto padrão de gerenciamento de infraestrutura de chave pública (PKI).

Depois de aplicar a atualização, como eu posso verificar os certificados no Armazenamento de certificados não confiáveis da Microsoft?  
Para sistemas que usam o atualizador automático de certificados revogados (consulte artigo 2677070 (em inglês) da Microsoft Knowledge Base para obter detalhes), inclusive Windows 8 Release Preview e Windows Server 2012 Release Candidate, você pode verificar o log de aplicativo no Event Viewer para uma entrada com os seguintes valores:

• Fonte: CAPI2
• Nível: Informação
• ID do evento: 4112
• Descrição: Autoatualização bem-sucedida de lista de certificados rejeitados com a data de vigência: Quinta-feira, 21 de junho de 2012 (ou posteriormente).

Para sistemas que não usam o atualizador automático de certificados revogados, no snap-in de MMC de Certificados, verifica-se que os seguintes certificados foram adicionados à pasta de Certificados não confiáveis:

Observação Para informações sobre como visualizar certificados com o MMC Snap-in, consulte o artigo do MSDN, Passo a passo: Visualize certificados com o Snap-in de MMC.

Para edições com suporte do Windows XP e Windows Server 2003

A maioria dos clientes tem o recurso de atualizações automáticas habilitado e não precisará tomar nenhuma providência porque a atualização KB2728973 será baixada e instalada automaticamente. Os clientes que não têm o recurso de atualizações automáticas habilitado precisarão verificar as atualizações e instalar esta atualização manualmente. Para obter informações sobre opções de configuração específicas em atualizações automáticas, consulte o Artigo 294871 (em inglês) da Microsoft Knowledge Base.

Para instalações feitas por administradores ou empresas, ou por usuários finais que desejam instalar a atualização KB2728973 manualmente, a Microsoft recomenda que os clientes apliquem a atualização imediatamente usando software de gerenciamento de atualização ou verificando se há atualizações no serviço Microsoft Update. Para obter mais informações sobre como aplicar manualmente essa atualização, consulte o Artigo 2728973 (em inglês) da Microsoft Knowledge Base.

Para edições com suporte do Windows Vista , Windows Server 2008, Windows 7, Windows Server 2008 R2, Windows 8 Release Preview e Windows Server 2012 Release Preview

A maioria de clientes tem atualizações automáticas habilitadas e não precisará tomar nenhuma providência, porque um atualizador automático de certificados revogados corrigirá o problema automaticamente adicionando os certificados ao Armazenamento de certificados não confiáveis.

O atualizador automático de certificados revogados está disponível para Windows Vista, Windows Server 2008, Windows 7, e Windows Server 2008 R2 pelo serviço Microsoft Update e é descrito no artigo 2677070 (em inglês) da Microsoft Knowledge Base. O atualizador automático de certificados não confiáveis é incluído no Windows 8 Release Preview e Windows Server 2012 Release Candidate.

Para usuários finais que não têm o atualizador automático de certificados revogados (2677070) nem de sistemas que não são conectados à Internet, a Microsoft recomenda que os clientes apliquem manualmente a atualização KB2728973 imediatamente. Para obter mais informações sobre como aplicar manualmente essa atualização, consulte o Artigo 2728973 (em inglês) da Microsoft Knowledge Base.

Para administradores e instalações empresariais, a Microsoft recomenda que os clientes apliquem a atualização imediatamente usando o software de gerenciamento de atualização. Para obter mais informações sobre a atualização, consulte o Artigo 2728973 (em inglês) da Microsoft Knowledge Base.